SPF fallisce: il server di invio non è autorizzato

Cosa significa

Il tuo dominio ha un record SPF, cioè la lista dei server autorizzati a inviare email per te. Ma l'email che hai testato è partita da un server che non è in quella lista. Il destinatario la considera un possibile falso.

Il risultato può comparire come "fail" (il tuo record finisce con -all) o "softfail" (il tuo record finisce con ~all).

Perché è importante

Un SPF fallito è un forte segnale di spam. Se DKIM non salva la situazione, fallisce anche DMARC, e la tua email può finire nello spam o essere rifiutata. Di solito significa che uno dei tuoi strumenti di invio è stato dimenticato quando hai configurato SPF.

Come verificare

Delivmail lo verifica per te in due modi:

• Invia un'email di test: nella home page copia il tuo indirizzo di test unico, inviagli una normale email dalla casella che vuoi verificare, poi apri il report. La riga SPF mostra l'indirizzo IP del server che ha inviato l'email e quale dominio è stato verificato.
• Usa lo Scanner di dominio: inserisci il tuo dominio su /domain-scanner per leggere i tuoi record DNS senza inviare nulla.

La sezione "Infrastruttura di invio" del report ti dice anche da quale provider è partita l'email. È il tuo indizio.

Come risolvere

1. Individua il mittente. Il test è partito dalla tua casella normale, dal tuo sito, dal tuo negozio, da uno strumento di newsletter o da una stampante/scanner? Guarda il nome del provider e l'indirizzo IP nel report.
2. Trova il valore SPF di quel servizio nelle sue pagine di aiuto. Cerca "SPF" più il nome del servizio.
3. Aggiungilo al tuo record SPF esistente. Non creare un secondo record: modifica quello che hai già.

Esempi

Usi Google Workspace e hai dimenticato il tuo strumento di newsletter:

v=spf1 include:_spf.google.com include:spf.newsletter-example.com ~all

Il tuo sito invia le email del modulo di contatto dal proprio server, IP 203.0.113.10:

v=spf1 include:spf.protection.outlook.com ip4:203.0.113.10 -all

Situazioni comuni

• Passaggio a un nuovo provider: l'SPF elenca ancora quello vecchio. Sostituiscilo con il nuovo include.
• Microsoft 365: il valore è include:spf.protection.outlook.com.
• Google Workspace: il valore è include:_spf.google.com.
• Sito web (WordPress, negozio): spesso inviano direttamente dall'hosting. Un'opzione migliore è far inviare il sito tramite il tuo provider di posta o un servizio email con un plugin SMTP, così è già coperto.
• Inoltro: se un'email viene inoltrata da un altro server, SPF può fallire anche quando è tutto giusto. È DKIM che sopravvive all'inoltro, quindi assicurati di configurare anche DKIM.

Quale dominio viene verificato?

SPF verifica il mittente nascosto della "busta" (chiamato anche Return-Path), non sempre l'indirizzo che le persone vedono. Molti strumenti di newsletter ci mettono il proprio dominio. In quel caso SPF è superato per il loro dominio, e ti serve DKIM sul tuo dominio perché DMARC sia superato. Vedi la guida sull'allineamento DMARC.

Verifica che sia risolto

Le modifiche DNS non sono immediate. La maggior parte è visibile in pochi minuti, ma alcuni provider impiegano fino a 24-48 ore.

Invia una nuova email di test dallo stesso servizio che ha fallito. Ora il report dovrebbe mostrare SPF superato per l'IP di invio. Se usi più strumenti, testali uno per uno.